Issuu

Uitspraak beroepsinstantie OVB/2020/209

Vlaamse overheid Beroepsinstantie inzake openbaarheid van bestuur en hergebruik van overheidsinformatie Afdeling openbaarheid van bestuur Havenlaan 88, bus 20 1000 BRUSSEL T : 02 553 57 25 Mail: openbaarheid@vlaanderen.be Dossiernummer: OVB/2020/209

DE BEROEPSINSTANTIE - Afdeling openbaarheid van bestuur Bevoegdheid beroepsinstantie Bestuursdecreet van 7 december 2018, titel II, hoofdstuk 3, afdeling 6. Besluit van de Vlaamse Regering van 19 juli 2007 tot oprichting van de beroepsinstantie inzake openbaarheid van bestuur en hergebruik van overheidsinformatie. Voorafgaande procedure Op 3 juli 2020 diende xxx een verzoek in bij de Vlaamse Vervoersmaatschappij De Lijn (hierna vermeld als De Lijn) tot het verkrijgen van een afschrift van het auditrapport bij De Lijn aangaande de ICT-security en informatiebeveiliging van kritische bedrijfsinformatie. Bij mailbericht d.d. 14 juli 2020 werd voormeld openbaarheidsverzoek afgewezen door De Lijn. Met een mail d.d. 10 augustus 2020 heeft xxx (hierna vermeld als: verzoeker) beroep ingesteld tegen de voormelde weigeringsbeslissing van De Lijn. Het beroepschrift werd op 11 augustus 2020 geregistreerd. Ontvankelijkheid van het beroep De weigeringsbeslissing van De Lijn dateert van 14 juli 2020. Deze beslissing maakt melding van de beroepsmogelijkheid en -modaliteiten, zoals voorgeschreven in artikel II.43, ยง1, derde lid van het Bestuursdecreet. Het beroep van verzoeker werd ingediend bij mailbericht d.d. 10 augustus 2020 en is bijgevolg tijdig ingesteld. Het ingediende beroep is bijgevolg ontvankelijk. Gegrondheid van het beroep

www.vlaanderen.be

Overeenkomstig artikel II.31, eerste lid Bestuursdecreet heeft het recht op passieve openbaarheid betrekking op bestuursdocumenten. Op grond van deze bepaling is elke instantie in principe verplicht aan eenieder die erom verzoekt inzage te geven in, uitleg te verschaffen over of een afschrift te bezorgen van de gewenste bestuursdocumenten. De openbaarmaking kan slechts geweigerd worden mits toepassing wordt gemaakt van één of meerdere uitzonderingen, zoals gestipuleerd in de artikelen II.33 tot en met II.39 van voormeld decreet.

De beslissing van De Lijn

De Lijn heeft het openbaarheidsverzoek op 14 juli 2020 afgewezen en het gevraagde Auditrapport niet openbaar gemaakt op grond van artikel II 35, 1° van het Bestuursdecreet, daar is gebleken dat het belang van openbaarheid niet opweegt tegen de bescherming van een economisch, financieel of commercieel belang van de overheid, in casu De Lijn. De Lijn argumenteerde zijn beslissing als volgt: “De openbaarmaking van dit document zou op ernstige wijze het economisch, financieel en commercieel belang van De Lijn schaden (cfr. Art. II.35,1° Bestuursdecreet). De audit bevat informatie aangaande kwetsbaarheden in onze systemen, werkpunten ter verbetering van de beveiliging, te ondernemen investeringen en aan te pakken gevoeligheden inzake het informatieveiligheidsbeleid. De openbaarmaking van deze informatie zou De Lijn blootstellen aan een verhoogd risico inzake cybercriminaliteit.”

2. Inhoud van het beroepschrift Verzoeker motiveert zijn beroep als volgt: Klanten, reizigers en belastingbetalers hebben het recht op volledige transparantie als het gaat over het gebruik van hun gegevens. Volgens de informatie van verzoeker kwam de audit tot de bevinding dat het managementsysteem voor informatiebeveiliging niet naar behoren functioneert. De vrees voor een ‘verhoogd’ risico inzake cybercriminaliteit door het vrijgeven van deze audit lijkt verzoeker ongegrond.

3. Standpunt van de beroepsinstantie De beroepsinstantie heeft contact opgenomen met De Lijn, waarbij om nadere toelichting werd gevraagd aangaande de door verzoeker opgevraagde documenten. Vanuit De Lijn werd bijkomende toelichting gegeven aan de beroepsinstantie en tevens werd het opgevraagde document (het Auditrapport) aan de beroepsinstantie bezorgd, zodat deze kennis kon nemen van de inhoud ervan. De beroepsinstantie stelt, na kennisname van het opgevraagde Auditrapport, vast dat De Lijn terecht de openbaarmaking van voormeld Auditrapport niet heeft toegestaan en dit in toepassing van de uitzonderingsgrond, zoals vermeld in artikel II.35, 1° van het Bestuursdecreet. Dit standpunt geldt voor het overgrote deel van het auditrapport (cfr infra).

//////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////// https://www.vlaanderen.be/openbaarheid-van-bestuur

uitspraak beroepsinstantie OVB/2020/209

pagina 2 van 6

Voormeld artikel II.35, 1° van het Bestuursdecreet stipuleert dat een aanvraag om openbaarmaking dient afgewezen te worden indien het belang van de openbaarheid niet opweegt tegen de bescherming van het economisch, financieel of commercieel belang van een overheidsinstantie. Deze bepaling heeft tot doel de economische, financiële en commerciële belangen van instanties te beschermen tegen het risico van speculatieve daden die voorkennis van informatie kan meebrengen. Artikel II.35, 1° van het Bestuursdecreet vertoont een relatief karakter zodat het aan de beroepsinstantie toekomt te oordelen of het belang van de ingeroepen uitzonderingsgrond in casu al dan niet opweegt tegen het belang van de openbaarmaking van het gevraagde. De Lijn reikt in haar toelichting aan de beroepsinstantie voldoende valabele argumenten aan om de openbaarmaking van het overgrote deel van het desbetreffende Auditrapport te weigeren, namelijk dat De Lijn zelf financiële en/of commerciële schade zou ondervinden bij de openbaarmaking van het Auditrapport. De beroepsinstantie kon immers zelf vaststellen dat het opzet van het Auditrapport “Audit IT Security” d.d. 19 juni 2019 erin bestond om te komen tot een beoordeling van de maturiteit van de organisatie, de beheersmaatregelen en de ICT-infrastructuur bij het beschermen van de confidentialiteit, integriteit en beschikbaarheid van elektronische informatie en communicatie-infrastructuur tegen onder meer inbraken, het (opzettelijk) lekken van data of andere kwetsbaarheden van binnen of van buiten uit. De audit bevat gedetailleerde informatie aangaande mogelijke kwetsbaarheden in de informaticasystemen van De Lijn, werkpunten ter verbetering van de beveiliging, te ondernemen investeringen en aan te pakken gevoeligheden inzake het informatieveiligheidsbeleid. De beroepsinstantie is daarom ook van oordeel dat een eventuele kennisname van de in het Auditrapport vermelde gebreken en tekortkomingen inzake informatiebeveiliging door personen met minder goede bedoelingen, De Lijn ontegensprekelijk zou kunnen bloot stellen aan een verhoogd risico inzake criminele activiteiten zoals phishing, hacking, installen van malware, virussen, spyware of ransomware, …. . Dit kan leiden tot verlies of onbeschikbaarheid van bedrijfsgevoelige data, financiële en/of commerciële schade, blootstelling aan afpersing, …. Doordat heel wat issues rond informatiebeveiliging in detail besproken worden in het Auditrapport, zou de openbaarmaking ervan cybercriminelen uiteraard heel wat informatie verschaffen over de kwetsbaarheden van de IT-systemen van De Lijn en de wijze waarop die uitgebuit kunnen worden. Het spreekt voor zich dat dit dient vermeden te worden, zoniet dreigt De Lijn mogelijks ernstige financiële en commerciële schade te lijden. De beroepsinstantie is om voormelde redenen dan ook overtuigd van het feit dat de betrokken informatie uit het opgevraagde Auditrapport van commercieel en financieel belang is voor De Lijn en dient afgeschermd te worden, meer specifiek om hen te beschermen tegen mogelijke cybercriminaliteit

uitspraak beroepsinstantie OVB/2020/209

pagina 3 van 6

De beroepsinstantie treedt daarom het standpunt van De Lijn bij om het overgrote deel van het opgevraagde Auditrapport niet openbaar te maken, in toepassing van artikel II.35, 1° van het Bestuursdecreet. De belangenafweging waartoe dit artikel, zoals elke relatieve uitzonderingsgrond, verplicht, leidt niet tot een oordeel in het voordeel van de verzoeker. De openbaarmaking ten koste van het beschermde belang mag enkel maar worden bevolen als daarmee het algemeen belang gediend wordt. De beroepsinstantie ziet geen argumenten om te besluiten dat dit hier het geval is. De betrokken (te beschermen) belangen van De Lijn wegen zwaarder door dan het belang van de openbaarheid. De beroepsinstantie wijst in bijkomende orde ook naar de toepassing van de uitzonderingsgrond die is voorzien in artikel II.35, 6° van het Bestuursdecreet om de openbaarmaking van het overgrote deel van het opgevraagde auditrapport te weigeren. Dit artikel bepaalt dat de overheidsinstanties, vermeld in artikel II.28, §1, een aanvraag tot openbaarmaking moeten afwijzen, indien ze van oordeel zijn dat het belang van de openbaarheid niet opweegt tegen de bescherming van de openbare orde en de veiligheid. Er moet telkens en in concreto geoordeeld worden of deze weigeringsgrond al dan niet van toepassing is. De beroepsinstantie stelt in concreto vast dat dit auditrapport inderdaad heel wat gevoelige informatie bevat inzake gebreken en tekortkomingen met betrekking tot de informatiebeveiliging binnen De Lijn. Doordat heel wat issues rond informatiebeveiliging in detail besproken worden in het Auditrapport, zou de openbaarmaking ervan cybercriminelen uiteraard heel wat informatie verschaffen over de kwetsbaarheden van de IT-systemen van De Lijn en de wijze waarop die uitgebuit kunnen worden. De beroepsinstantie is van oordeel dat de openbaarmaking van deze gevoelige gegevens de beroepsinstantie de openbare orde en de veiligheid wel degelijk in het gedrang kan brengen. Het algemeen belang dat gediend is met de openbaarmaking van dit auditrapport weegt niet zwaarder door dan het te beschermen belang, met name de openbare orde en veiligheid. Het ingestelde beroep wordt voor het overgrote deel van het auditrapport dan ook als ongegrond beschouwd. De beroepsinstantie is daarnaast wel van oordeel dat een aantal gedeelten uit het opgevraagde auditrapport echter wel openbaar kunnen gemaakt worden, daar er voor die gedeelten geen wettelijke of decretale uitzonderingsgronden van toepassing zijn. Het gaat daarbij om de volgende onderdelen van het auditrapport : - punt 1 “Reikwijdte van de opdracht”; - punt 3 “Audit aanpak”, evenwel mits weglating van alle namen van natuurlijke personen; - punt 5 “actietabel” , ook al betreft het hier een tabel zonder inhoud.. Wat punt 3 “Audit aanpak” betreft , stelt de beroepsinstantie vast dat in een tabel een aantal namen worden vermeld van natuurlijke personen. Deze namen moeten onleesbaar worden gemaakt, in toepassing van artikel II.34, 2° van het Bestuursdecreet. Voormeld decreetartikel bepaalt dat een verzoek tot openbaarmaking moet worden afgewezen indien de openbaarmaking afbreuk zou doen aan de bescherming van de persoonlijke levenssfeer. Hoewel het hier om een absolute uitzonderingsgrond gaat, waardoor er geen belangenafweging moet plaatsvinden tussen

uitspraak beroepsinstantie OVB/2020/209

pagina 4 van 6

het door de uitzonderingsgrond beschermde belang met het belang van de openbaarheid, vertoont de in artikel II.34, 2° van het Bestuursdecreet bedoelde uitzonderingsgrond niettemin een relatief aspect. De decreetgever is weliswaar van oordeel dat er geen afweging vereist is met het openbaar belang dat met de openbaarheid is gediend (wat nogmaals uitdrukkelijk werd bevestigd in een recent arrest van de Raad van State, RvS, arrest nr. 243.607 van 7 februari 2019, TBP 2019/6, 339: “Zoals reeds overwogen, moet er geen belangenafweging plaatsvinden tussen het door de uitzonderingsgrond beschermde belang met het belang van de openbaarheid, en de weigering tot openbaarmaking moet niet door deze belangenafweging worden gemotiveerd.”), maar wijst er desondanks op dat telkens en in concreto geoordeeld moet worden of er al dan niet een inbreuk is gepleegd op de bescherming van de persoonlijke levenssfeer (Vlaams Parlement, Parl. St. 2017-2018, nr. 1656/1, blz.58). Artikel 22 van de Grondwet waarborgt uitdrukkelijk het recht op eerbiediging van het privéleven, net zoals artikel 8 van het Europees Verdrag voor de Rechten van de Mens dit doet. De bedoeling en het fundamentele uitgangspunt van de in artikel II.34, 2° van het Bestuursdecreet bedoelde uitzonderingsgrond bestaat er precies in om het aan iedereen toegekende grondwettelijke recht op de eerbiediging van zijn privéleven te beschermen. De beroepsinstantie merkt op dat bij het onderzoek naar de uitzonderingsgrond met betrekking tot de persoonlijke levenssfeer moet worden nagegaan of er al dan niet sprake is van informatie in een bestuursdocument die op de persoonlijke levenssfeer betrekking heeft. De namen van de natuurlijke personen die vermeld worden in de tabel bij punt 3 “Audit aanpak” op de bladzijden 6 en 7 van het auditrapport, behoren ontegensprekelijk tot het privéleven van de betrokkenen en het privéleven vormt de kern van de persoonlijke levenssfeer (F. SCHRAM, Het decreet openbaarheid van bestuur. Een juridische analyse in historisch perspectief, Brugge, Vanden Broele, 247; Concl. Adv.Gen. bij HvJ 8 april 2014, nr. C-293/12, Digital Rights Ireland Ltd, nr. 61). Het openbaar maken van deze gegevens heeft aldus betrekking op de kern van een belang – het door artikel 22 van de Grondwet en het door artikel 8 EVRM aan eenieder toegekende recht op eerbiediging van zijn privéleven – dat de uitzonderingsgrond uit artikel II.34, 2°, van het Bestuursdecreet wenst te beschermen tegen de openbaarheid van bestuur (RvS, nr. 234.609 dd. 2 mei 2016). De beroepsinstantie is dan ook van oordeel dat de mededeling van de namen uit voormelde tabel op bladzijde 6 van het auditrapport afbreuk doet aan het recht op eerbiediging van de persoonlijke levenssfeer van die natuurlijke personen en dat deze gegevens dan ook moeten worden afgeschermd in toepassing van artikel II.34, 2° van het Bestuursdecreet. Artikel II.50, §1, derde lid van het Bestuursdecreet laat toe aan de beroepsinstantie om aan de betrokken natuurlijke personen om toestemming te vragen voor het openbaar maken van hun namen en adresgegevens. In casu heeft de beroepsinstantie de betreffende personen gecontacteerd met de vraag of zij konden instemmen met de openbaarmaking van hun persoonsgegevens. Tot op heden heeft de beroepsinstantie echter geen reactie en dus ook geen toestemming mogen ontvangen.

uitspraak beroepsinstantie OVB/2020/209

pagina 5 van 6

Gedeeltelijke openbaarmaking In toepassing van artikel II.45, §2 van het Bestuursdecreet is de informatie die in casu niet openbaar kan gemaakt worden ingevolge artikel II.35, 1° van het Bestuursdecreet (zoals hiervoor werd uiteengezet), perfect afsplitsbaar van de overige gegevens uit het auditrapport die wel openbaar kunnen gemaakt worden, zodat een gedeeltelijke openbaarmaking van het auditrapport aangewezen is. Het ingestelde beroep wordt om voormelde reden dan ook gedeeltelijk als gegrond beschouwd. Na beraadslaging,

BESLUIT: Het beroepschrift van xxx d.d. 10 augustus 2020 tegen de weigeringsbeslissing van De Lijn d.d. 14 juli 2020 wordt als ontvankelijk en deels ongegrond, deels gegrond beschouwd. Bijgevolg dient aan verzoeker een afschrift te worden verleend van de volgende onderdelen van het auditrapport bij De Lijn aangaande de ICT-security en informatiebeveiliging van kritische bedrijfsinformatie: - punt 1 “Reikwijdte van de opdracht”; - punt 3 “Audit aanpak”, evenwel mits weglating van alle namen van natuurlijke personen zoals deze worden vermeld in de tabel op de bladzijden 6 en 7 van het auditrapport; - punt 5 “actietabel”

Geen toestemming tot hergebruik van bestuursdocumenten In zoverre dit beroep geheel of gedeeltelijk gegrond werd verklaard, geldt dat deze inwilliging van de aanvraag tot openbaarmaking GEEN toestemming inhoudt om de gevraagde bestuursdocumenten te hergebruiken, als vermeld in titel II, hoofdstuk 4 van het Bestuursdecreet van 7 december 2018. Brussel, 10 september 2020 Voor de beroepsinstantie, afdeling openbaarheid van bestuur, Bruno ASSCHERICKX Voorzitter

uitspraak beroepsinstantie OVB/2020/209

pagina 6 van 6